Che cos’è l’AI Act
L’AI Act è il primo regolamento al mondo che disciplina in modo organico l’intelligenza artificiale. È entrato in vigore il 1° agosto 2024 e si applica in modo graduale, con scadenze diverse per ogni gruppo di obblighi.
Essendo un regolamento, vale direttamente in tutti gli Stati membri, senza bisogno di una legge di recepimento. In Italia è affiancato dalla Legge n. 132/2025, che lo integra su alcuni ambiti nazionali.
L’approccio è basato sul rischio: più alto è il rischio per salute, sicurezza e diritti fondamentali, più stringenti sono gli obblighi. Non conta quindi la tecnologia in sé, ma l’uso che ne fai.
Dal 2 febbraio 2025 chi utilizza sistemi di AI deve garantire un livello sufficiente di alfabetizzazione del personale che li usa. Vale anche per l’impiegato che usa un chatbot generativo per lavoro. Approfondisci nella pagina sull’alfabetizzazione AI.
I quattro livelli di rischio
Il primo passo è capire in quale livello ricade ogni sistema che sviluppi o utilizzi. Lo stesso strumento può cambiare livello a seconda dell’uso: un modello linguistico usato per scrivere bozze è a rischio minimo, lo stesso modello usato per scartare candidati entra nell’alto rischio.
| Livello | Esempi | Cosa comporta |
|---|---|---|
| Inaccettabile | Manipolazione subliminale, sfruttamento di vulnerabilità, social scoring, riconoscimento delle emozioni sul lavoro e a scuola, categorizzazione biometrica su dati sensibili, scraping non mirato di volti, alcuni usi di identificazione biometrica in tempo reale | Vietato |
| Alto | Selezione e gestione del personale, merito creditizio, istruzione, infrastrutture critiche, accesso a servizi essenziali, componenti di sicurezza di prodotti regolamentati | Obblighi stringenti per fornitori e deployer |
| Limitato | Chatbot, contenuti generati o manipolati: testi, immagini, audio, video, deepfake | Trasparenza: l’utente deve sapere che interagisce con un’AI e i contenuti vanno resi riconoscibili |
| Minimo | Filtri antispam, videogiochi, suggerimenti di scrittura | Nessun obbligo specifico oltre all’alfabetizzazione; codici di condotta volontari |
I sistemi ad alto rischio sono quelli che richiedono più lavoro. L’AI Act chiede che siano accurati, robusti e sicuri (art. 15): un requisito che si collega direttamente alla gestione della sicurezza informatica e, per i soggetti NIS2, all’analisi dei rischi.
Fornitore o deployer: gli obblighi per chi usa l’AI
Gli obblighi dipendono dal ruolo. Il fornitore sviluppa il sistema o lo immette sul mercato con il proprio nome. Il deployer (utilizzatore) lo usa nella propria attività professionale. La maggior parte delle imprese italiane è deployer.
Essere deployer non vuol dire essere esenti. Questi sono gli obblighi da presidiare:
- 01Formare il personale
Chi usa sistemi di AI deve avere un livello sufficiente di alfabetizzazione AI. L’obbligo vale per qualsiasi livello di rischio.
- 02Escludere le pratiche vietate
Verifica che nessuno strumento in uso ricada tra le pratiche a rischio inaccettabile, ad esempio il riconoscimento delle emozioni dei dipendenti.
- 03Rispettare la trasparenza
Clienti e utenti devono sapere quando interagiscono con un’AI, e i contenuti generati o manipolati vanno resi riconoscibili.
- 04Gestire i sistemi ad alto rischio
Usali secondo le istruzioni del fornitore, garantisci la sorveglianza umana, conserva i log, informa i lavoratori e, in alcuni casi, svolgi una valutazione d’impatto sui diritti fondamentali (FRIA).
- 05Coordinarti con il GDPR
Base giuridica, informative e DPIA vanno allineate ai trattamenti svolti con l’AI.
Se modifichi in modo sostanziale un sistema di AI o lo commercializzi con il tuo marchio, puoi diventare a tua volta fornitore, con obblighi molto più ampi. Succede più spesso di quanto si pensi, ad esempio con prodotti software che integrano un modello di terzi.
Il calendario e il rinvio del Digital Omnibus
Nel 2026 il pacchetto europeo Digital Omnibus ha modificato il calendario, rinviando soprattutto gli obblighi per i sistemi ad alto rischio. Divieti, alfabetizzazione e regole sui modelli per finalità generali restano invece pienamente applicabili.
| Data | Cosa si applica |
|---|---|
| 1° agosto 2024 | Entrata in vigore del Regolamento |
| 2 febbraio 2025 | Divieti delle pratiche inaccettabili e obbligo di alfabetizzazione AI |
| 2 agosto 2025 | Regole sui modelli di AI per finalità generali (GPAI), governance e sanzioni |
| 2 agosto 2026 | Applicazione generale: obblighi di trasparenza, vigilanza e sanzioni per i fornitori di GPAI |
| Fine 2026 | Ulteriori misure introdotte dal Digital Omnibus, tra cui marcatura dei contenuti generati e nuovi divieti |
| 2 dicembre 2027 | Obblighi per i sistemi ad alto rischio dell’Allegato III (lavoro, credito, istruzione, servizi essenziali) |
| 2 agosto 2028 | Obblighi per i sistemi ad alto rischio integrati in prodotti regolamentati |
Il rinvio non è un motivo per aspettare. Inventario degli strumenti, classificazione e formazione richiedono mesi, e una parte degli obblighi è già vigente. Per i dettagli e gli aggiornamenti fai sempre riferimento al testo consolidato su EUR-Lex.
Le sanzioni
Le sanzioni sono graduate in base alla gravità della violazione. Per ogni fascia è previsto un importo fisso e una percentuale del fatturato mondiale annuo.
| Violazione | Sanzione massima |
|---|---|
| Pratiche vietate | Fino a 35 milioni di euro o al 7% del fatturato mondiale |
| Altre violazioni | Fino a 15 milioni di euro o al 3% del fatturato mondiale |
| Informazioni inesatte alle autorità | Fino a 7,5 milioni di euro o all’1% del fatturato mondiale |
Per PMI e startup si applica l’importo inferiore tra i due. In Italia la vigilanza, le ispezioni e le sanzioni spettano all’ACN, la stessa autorità della NIS2.
Come possiamo aiutarti
Partiamo da un censimento degli strumenti AI in uso, anche quelli “non ufficiali”. Per ciascuno definiamo il tuo ruolo e il livello di rischio, poi costruiamo le policy, le informative e il piano di formazione. Se usi sistemi ad alto rischio, ti prepariamo su sorveglianza umana, log e FRIA prima delle scadenze.
Scopri il servizio di compliance AI oppure scrivici per una prima valutazione.
Domande frequenti
La mia azienda usa solo ChatGPT o strumenti simili: l’AI Act mi riguarda?
Sì. Sei un deployer e hai già oggi almeno due obblighi: garantire l’alfabetizzazione AI del personale che usa questi strumenti e rispettare gli obblighi di trasparenza verso clienti e utenti quando applicabili.
Il Digital Omnibus ha rinviato tutto?
No. Il rinvio riguarda soprattutto i sistemi ad alto rischio, ora previsti dal 2 dicembre 2027 (Allegato III) e dal 2 agosto 2028 (prodotti regolamentati). Divieti, alfabetizzazione e regole sui modelli per finalità generali restano pienamente applicabili.
Un software di selezione del personale è ad alto rischio?
In linea generale sì: l’AI usata per selezione e gestione del personale rientra tra gli esempi di alto rischio. Come deployer dovrai usarlo secondo le istruzioni, garantire sorveglianza umana, conservare i log e informare i lavoratori.
Contenuti informativi aggiornati a ottobre 2026: non sostituiscono la lettura dei testi ufficiali né un parere professionale sul caso specifico.